Cyberaanvallen treffen allang niet meer alleen grote multinationals. Ook middelgrote organisaties krijgen dagelijks te maken met ransomware, phishing, datalekken en aanvallen via leveranciers. Tegelijk worden organisaties steeds afhankelijker van digitale systemen voor hun dienstverlening.
Om de digitale weerbaarheid van Europa te vergroten heeft de Europese Unie de NIS2-richtlijn opgesteld. Iedere lidstaat moet zo'n richtlijn omzetten in nationale wetgeving. In Nederland is dat de Cyberbeveiligingswet (Cbw). Deze wet treedt op 15 augustus 2026 in werking. Daarmee gelden voor duizenden Nederlandse organisaties nieuwe wettelijke verplichtingen op het gebied van cyberbeveiliging, risicobeheersing en incidentmelding.
Toch leeft bij veel bestuurders dezelfde vraag:
"Wat is NIS2 eigenlijk? Geldt deze wet ook voor onze organisatie? En wat moeten wij nu doen?"
Terechte vragen. Veel organisaties besteden hun IT uit. Ze gaan ervan uit dat informatiebeveiliging daarmee voldoende geregeld is. In de praktijk zijn verantwoordelijkheden, leveranciersrisico's en bestuurlijke besluitvorming echter regelmatig onvoldoende vastgelegd of aantoonbaar gemaakt.
De grootste verandering die NIS2 met zich meebrengt: informatiebeveiliging is niet langer uitsluitend een zaak van de IT-afdeling. Bestuurders worden nadrukkelijk verantwoordelijk voor het beheersen van cyberrisico's. Zowel technisch als organisatorisch.
In dit artikel leest u:
wat NIS2 precies is;
wat de Cyberbeveiligingswet verandert;
voor welke organisaties de regels gelden;
welke verplichtingen daarbij horen;
welke misverstanden over NIS2 vaak voorkomen;
en hoe u uw organisatie praktisch kunt voorbereiden.
Kort antwoord: wat is NIS2 en wat betekent het voor organisaties?
NIS2 is een Europese richtlijn die organisaties verplicht om cyberrisico's structureel te beheersen. In Nederland is deze richtlijn omgezet in de Cyberbeveiligingswet. Die wet treedt op 15 augustus 2026 in werking. Organisaties die eronder vallen krijgen onder meer een zorgplicht, meldplicht en bestuurlijke verantwoordelijkheid voor informatiebeveiliging. Ook veel organisaties die niet rechtstreeks onder de wet vallen, krijgen indirect met de eisen te maken via klanten, leveranciers en aanbestedingen.
Wat is de NIS2-richtlijn?
NIS2 staat voor Network and Information Security Directive 2. Het is een Europese richtlijn die de digitale weerbaarheid van de lidstaten moet vergroten. Ze vervangt de oorspronkelijke NIS-richtlijn uit 2016. Sindsdien werken organisaties vaker in de cloud, zijn ketens complexer geworden en opereren cybercriminelen professioneler dan ooit.
Vroeger stond vooral de beschikbaarheid van systemen centraal. Nu draait het om de continuïteit van complete organisaties en ketens. Eén aanval op een softwareleverancier kan immers honderden organisaties tegelijk raken. Daarom stelt NIS2 hogere eisen aan risicobeheersing, governance, leveranciersbeheer en incidentrespons.
Belangrijk: NIS2 is geen technische checklist. De richtlijn schrijft niet voor welk antivirus- of firewallmerk u moet gebruiken. In plaats daarvan verlangt ze dat organisaties risico's identificeren en passende maatregelen nemen. Ze moeten ook kunnen aantonen waarom die maatregelen passend zijn. Juist die aantoonbaarheid wordt de komende jaren steeds belangrijker.
Wat verandert er door de Cyberbeveiligingswet?
Een Europese richtlijn geldt niet rechtstreeks in de lidstaten. Iedere lidstaat moet haar omzetten in nationale wetgeving. In Nederland gebeurt dat via de Cyberbeveiligingswet (Cbw).
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Vanaf dat moment gelden voor organisaties die onder de wet vallen onder meer nieuwe verplichtingen op het gebied van:
zorgplicht;
meldplicht van ernstige incidenten;
registratie en toezicht;
bestuurlijke verantwoordelijkheid;
risicobeheer.
De wet maakt duidelijk dat organisaties zelf verantwoordelijk zijn om vast te stellen of zij onder de wet vallen. Afwachten is dus geen verstandige strategie. Voor veel organisaties is dit overigens geen volledig nieuw onderwerp. De wet bouwt voort op bestaande normen en goede praktijken, maar maakt deze voor een grotere groep organisaties wettelijk afdwingbaar.
Waarom is NIS2 ingevoerd?
Cyberincidenten kunnen grote maatschappelijke gevolgen hebben. Ransomware kan productieprocessen stilleggen. Een aanval op een softwareleverancier kan duizenden klanten treffen. Uitval van digitale infrastructuur kan complete sectoren ontregelen.
Organisaties zijn bovendien steeds afhankelijker geworden van externe partijen, zoals cloudleveranciers, softwareontwikkelaars, managed service providers en andere ketenpartners. Cyberveiligheid houdt daardoor niet op bij de grenzen van de eigen organisatie.
De EU wil met NIS2 bereiken dat organisaties hun digitale risico's beter beheersen. Ze moeten sneller reageren op incidenten en bewuster omgaan met risico's in de toeleveringsketen. Voor bestuurders betekent dit dat informatiebeveiliging niet langer een louter technisch onderwerp is. Het wordt nadrukkelijk onderdeel van goed bestuur en risicomanagement.
Valt mijn organisatie onder NIS2?
Of de Cyberbeveiligingswet van toepassing is, hangt af van meerdere factoren. Denk aan de sector waarin uw organisatie actief is, de omvang van de organisatie, de aard van de dienstverlening en de rol die zij speelt binnen vitale of belangrijke ketens.
Ook zonder rechtstreekse plicht kunt u met de gevolgen te maken krijgen. Klanten stellen vragen over uw beveiligingsmaatregelen. Leveranciers nemen aanvullende eisen op in contracten. En bij aanbestedingen wordt steeds vaker gevraagd naar aantoonbare informatiebeveiliging.
De vraag is dus vaak niet alleen “Valt mijn organisatie onder NIS2?”, maar ook “Welke eisen gaan mijn klanten straks aan mij stellen?”
Officiële zelfevaluatie: doe de test
De Rijksoverheid biedt een officiële online zelfevaluatie. Daarmee kunt u stap voor stap nagaan of de NIS2-richtlijn op uw organisatie van toepassing is, of u als essentiële of belangrijke entiteit wordt aangemerkt, en of u onder Nederlands toezicht valt: regelhulpenvoorbedrijven.nl/NIS-2-NL. Dit is de meest betrouwbare eerste stap om helderheid te krijgen, omdat de tool rekening houdt met de volledige sector- en omvangscriteria uit de richtlijn.
Welke verplichtingen brengt NIS2 met zich mee?
Een veelgehoorde misvatting is dat NIS2 vooral om technische maatregelen draait. Techniek speelt een rol, maar de Cyberbeveiligingswet vraagt vooral dat organisaties informatiebeveiliging structureel organiseren. Ze moeten ook kunnen aantonen dat cyberrisico's bewust worden beheerst, op een manier die past bij de aard van de organisatie, de dienstverlening en de risico's waarmee zij te maken heeft.
Risicobeheer
Passende maatregelen beginnen bij inzicht. Welke bedrijfskritische processen, systemen, gegevens en leveranciers zijn er? Welke dreigingen hebben de grootste impact, en waar bestaan nog risico's? Dat inzicht is geen eenmalige exercitie. Nieuwe technologie en dreigingen maken periodieke herbeoordeling nodig.
Passende beveiligingsmaatregelen
NIS2 schrijft geen specifieke producten voor, maar verlangt passende technische, organisatorische en operationele maatregelen. Denk aan:
patch- en updatebeheer;
sterke toegangsbeveiliging;
netwerksegmentatie;
back-up- en herstelprocedures;
monitoring en beveiligingsbewustzijn onder medewerkers.
Welke maatregelen passend zijn, hangt af van de risico's die voor uw organisatie relevant zijn.
Leveranciersbeheer
Voor veel organisaties is dit een van de belangrijkste veranderingen. Cloudleveranciers, softwareontwikkelaars en andere IT-dienstverleners krijgen vaak toegang tot systemen of gevoelige informatie. Een incident bij hen kan direct uw continuïteit raken.
De wet verwacht daarom dat organisaties kritieke leveranciers identificeren en beveiligingseisen in contracten opnemen. Ze moeten leveranciers periodiek beoordelen en afspraken maken over incidentmeldingen.
Informatiebeveiliging wordt zo een onderwerp dat de hele keten raakt, niet alleen de eigen IT-afdeling.
Zorgplicht: wat houdt die in?
De zorgplicht houdt in dat organisaties passende maatregelen moeten nemen om cyberrisico's te voorkomen of te beperken. De wet schrijft bewust niet voor hoe. Een ziekenhuis loopt immers andere risico's dan een logistiek bedrijf. De organisatie moet zelf kunnen onderbouwen waarom bepaalde maatregelen passend zijn.
Relevante vragen zijn dus niet alleen “Hebben wij maatregelen genomen?”, maar ook:
Waarom zijn deze maatregelen gekozen?
Welke risico's worden hiermee afgedekt?
Wie is verantwoordelijk?
Wanneer zijn de risico's voor het laatst beoordeeld?
Informatiebeveiliging wordt zo beoordeeld op basis van een samenhangend risicobeheersysteem, niet op losse technische maatregelen.
Meldplicht van cyberincidenten
Geen enkele organisatie kan garanderen dat zij nooit slachtoffer wordt van een cyberincident. De wet gaat daar ook niet vanuit. Wel verwacht ze dat organisaties ernstige incidenten tijdig melden. Bij een significant incident gelden vaste termijnen:
Binnen 24 uur: een eerste waarschuwing;
Binnen 72 uur: een uitgebreidere melding;
Binnen 30 dagen: een eindrapport.
Dat betekent dat organisaties vooraf duidelijke procedures nodig hebben voor detectie, escalatie, communicatie en herstel. Een incident is niet het moment om nog te bedenken wie welke beslissing neemt.
Bestuurders krijgen een nadrukkelijkere verantwoordelijkheid
Misschien wel de grootste verandering: cyberbeveiliging wordt een bestuurlijke verantwoordelijkheid. Bestuurders hoeven geen technische experts te zijn. Wel moeten zij voldoende inzicht hebben in de belangrijkste cyberrisico's. Ze moeten zorgen dat passende maatregelen worden genomen en toezicht houden op de uitvoering. Ook moeten zij cybersecurity meenemen in strategische besluitvorming, en kunnen aantonen dat zij dit serieus nemen.
Voor veel organisaties betekent dit dat informatiebeveiliging vaker onderwerp wordt van managementoverleg en bestuursvergaderingen. Het verschuift van technisch vraagstuk naar integraal risicomanagement.
Ook buiten de wet: impact via de markt en aanbestedingen
Een veelgemaakte fout is te denken dat alleen organisaties die rechtstreeks onder de Cyberbeveiligingswet vallen iets hoeven te doen. In de praktijk stellen klanten die aan de Cyberbeveiligingswet moeten voldoen nu al hogere eisen aan hun leveranciers. Denk aan een informatiebeveiligingsbeleid, uitgevoerde risicoanalyses, incidentprocedures, business continuity-plannen of certificeringen zoals ISO 27001. Dat gebeurt niet alleen bij de overheid, ook bij commerciële opdrachtgevers.
Diezelfde ontwikkeling zien we terug bij aanbestedingen. Vroeger telden vooral prijs en kwaliteit. Nu speelt beheersing van cyberrisico's een steeds grotere rol in offerteaanvragen en leveranciersbeoordelingen. Organisaties die risico's aantoonbaar beheersen hebben een concurrentievoordeel. Een gebrek aan aantoonbare maatregelen kan leiden tot extra audits, aanvullende voorwaarden of zelfs uitsluiting.
Voor veel MKB-organisaties ontstaat de impact van NIS2 dus niet vanuit de wet zelf, maar vanuit de markt.
Juist organisaties die hun informatiebeveiliging aantoonbaar op orde hebben, zullen hierdoor een concurrentievoordeel krijgen.
Hoe bereidt een organisatie zich praktisch voor?
Voorbereiden begint niet met het aanschaffen van nieuwe beveiligingssoftware, maar met inzicht. Veel organisaties hebben al losse maatregelen. Ze weten alleen onvoldoende hoe die samen bijdragen aan risicobeheersing. Een pragmatische aanpak:
Inventariseer bedrijfskritische processen, systemen, gegevens en leveranciers.
Voer een actuele risicoanalyse uit.
Beoordeel welke maatregelen al aanwezig zijn en breng hiaten in kaart.
Stel een realistische roadmap op.
Leg verantwoordelijkheden bestuurlijk vast.
Organiseer aantoonbaarheid van genomen maatregelen.
Dat laatste wordt steeds belangrijker. Niet alleen veilig werken telt, maar ook kunnen laten zien dat risico's bewust worden beheerst. Voor veel organisaties is dat uiteindelijk waardevoller dan nog een extra beveiligingsproduct.
Hoe helpt Vink Information Security organisaties hierbij?
Veel organisaties worstelen niet met de wil om te voldoen aan de Cyberbeveiligingswet, maar met overzicht. Waar begin je? Welke risico's doen er echt toe? En hoe maak je dat aantoonbaar zonder de organisatie te overladen met papierwerk?
Vink Information Security helpt organisaties om risico's zichtbaar, begrijpelijk en beheersbaar te maken. Dat begint met inzicht in bedrijfskritische processen en leveranciers. Daarna volgt een pragmatische risicoanalyse en een roadmap die past bij de omvang en het risicoprofiel van de organisatie. Of het nu gaat om een eerste NIS2-quickscan, een risicoanalyse of een managementsysteem op basis van ISO 27001: compliance is geen doel op zich. Het is het resultaat van goed beheerste risico's.
Conclusie
NIS2 is meer dan een nieuwe Europese richtlijn. Met de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026 worden organisaties nadrukkelijk verantwoordelijk voor het beheersen van cyberrisico's, het beschermen van hun dienstverlening en het tijdig melden van ernstige incidenten.
Voor organisaties die onder de wet vallen betekent dit dat informatiebeveiliging niet langer uitsluitend een taak van de IT-afdeling is. Bestuurders moeten actief sturen op cyberrisico's en kunnen aantonen dat passende maatregelen zijn genomen. Maar ook organisaties die niet rechtstreeks onder de wet vallen merken de gevolgen. Klanten, leveranciers en aanbestedende diensten stellen immers steeds hogere eisen.
De belangrijkste vraag is daarom niet alleen of uw organisatie aan de Cyberbeveiligingswet moet voldoen, maar ook of u kunt aantonen dat uw cyberrisico's beheersbaar zijn.
Informatiebeveiliging begint niet bij techniek. Het begint bij inzicht.
Veelgemaakte misverstanden over NIS2
“Wij zijn te klein, dus dit geldt niet voor ons”
Omvang is één criterium, niet het enige. Een kleinere organisatie kan alsnog onder de wet vallen, bijvoorbeeld als enige aanbieder van een dienst in een regio. En wie buiten de wettelijke reikwijdte valt, krijgt vaak alsnog indirect met dezelfde eisen te maken via klanten.
“We hebben IT uitbesteed, dus we voldoen automatisch”
Een IT-leverancier kan technische maatregelen beheren, maar de bestuurlijke verantwoordelijkheid voor risicobeheersing blijft bij de organisatie zelf. Aantoonbaarheid en governance kunt u niet volledig uitbesteden.
“NIS2 is vooral een IT-project”
NIS2 raakt risicomanagement, inkoop, HR, juridische zaken en bestuur. Een aanpak die alleen bij IT wordt neergelegd, mist precies de bestuurlijke kant die de wet benadrukt.
“ISO 27001 is verplicht onder NIS2”
Dat klopt niet. Certificering is geen wettelijke verplichting. Wel biedt een managementsysteem op basis van ISO 27001 een praktisch raamwerk om aan veel eisen invulling te geven.
“Als we nog nooit gehackt zijn, zitten we goed”
Afwezigheid van incidenten zegt weinig over de kwaliteit van risicobeheersing. De wet vraagt om aantoonbaar beleid, niet om een schone historie.
"De Cyberbeveiligingswet zal, net als de AVG, toch niet écht gehandhaafd worden"
Deze vergelijking is begrijpelijk. De Autoriteit Persoonsgegevens kampte de eerste jaren na de AVG met een capaciteitstekort, waardoor veel klachten bleven liggen. Voor de Cyberbeveiligingswet is het toezicht echter anders ingericht. Er komt niet één toezichthouder voor heel Nederland, maar een stelsel van negen sectorale toezichthouders, met de Rijksinspectie Digitale Infrastructuur (RDI) in een coördinerende rol. Voor organisaties die als essentieel worden aangemerkt geldt bovendien proactief toezicht: de toezichthouder mag zelf inspecties starten, ook zonder dat er al een incident is geweest. Dat is een fundamenteel verschil met de AVG, waar de AP grotendeels reactief werkte op klachten en meldingen. Toezichtsmaatregelen kunnen in het uiterste geval ook individuele bestuurders raken. Ervan uitgaan dat handhaving wel loos alarm zal blijken, is dus een risicovolle aanname.
Veelgestelde vragen over NIS2
Wat is NIS2?
NIS2 is een Europese richtlijn die organisaties verplicht om cyberrisico's structureel te beheersen. In Nederland is deze richtlijn omgezet in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt.
Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?
NIS2 is de Europese richtlijn. De Cyberbeveiligingswet (Cbw) is de Nederlandse wet waarmee die richtlijn wordt uitgevoerd. Voor Nederlandse organisaties zijn de verplichtingen uit de Cyberbeveiligingswet het meest relevant.
Wanneer treedt de Cyberbeveiligingswet in werking?
Op 15 augustus 2026. Vanaf die datum gelden de wettelijke verplichtingen voor organisaties die onder de wet vallen.
Voor wie geldt NIS2?
Voor organisaties in aangewezen essentiële en belangrijke sectoren die aan bepaalde omvangscriteria voldoen. Ook organisaties die niet rechtstreeks onder de wet vallen, krijgen vaak indirect met de eisen te maken via klanten en leveranciers.
Wat is het verschil tussen essentiële en belangrijke entiteiten?
Beide categorieën vallen onder de wet, maar met verschillende toezichtregimes. Essentiële entiteiten vallen onder strenger, proactief toezicht. Belangrijke entiteiten worden vooral achteraf gecontroleerd. Welke categorie geldt, hangt af van sector en omvang.
Geldt NIS2 ook voor het MKB?
De omvangscriteria sluiten de meeste kleine ondernemingen uit, met uitzonderingen. Denk aan een organisatie die de enige aanbieder van een kritieke dienst in een regio is. Veel MKB-organisaties krijgen bovendien indirect te maken met de eisen doordat opdrachtgevers ze doorvertalen in contracten.
Moet mijn organisatie ISO 27001 gecertificeerd zijn?
Nee, dat is geen wettelijke verplichting. Een managementsysteem op basis van ISO 27001 helpt wel om risico's gestructureerd te beheersen en aantoonbaar te maken.
Wie is verantwoordelijk voor informatiebeveiliging?
Nadrukkelijk het bestuur van de organisatie. Dat betekent niet dat bestuurders alle technische kennis moeten hebben. Wel moeten zij actief toezicht houden op cyberrisico's en passende maatregelen.
Moet ik een cyberincident altijd melden?
Nee, alleen incidenten die voldoen aan de wettelijke criteria zijn meldingsplichtig. Organisaties moeten vooraf bepalen wanneer een incident als significant geldt en hoe meldingen worden afgehandeld.
Wat gebeurt er als mijn organisatie niets doet?
De toezichthouder kan handhavend optreden, met sancties die voor de zwaarste categorie organisaties kunnen oplopen tot forse boetes. Daarnaast kunnen cyberincidenten leiden tot financiële schade, reputatieschade en verstoring van de bedrijfscontinuïteit. Ook stellen klanten vaak al eerder aanvullende eisen.
Hoe verhoudt NIS2 zich tot de AVG/GDPR?
De AVG beschermt specifiek persoonsgegevens. NIS2 gaat breder over de weerbaarheid van netwerk- en informatiesystemen. Eén incident kan onder beide regimes meldingsplichtig zijn, elk met eigen criteria en termijnen. Stem uw incidentprocedures daarom op beide af.
Welke toezichthouder krijgt welke sector?
Het toezicht is verdeeld over meerdere instanties. De RDI houdt toezicht op onder meer energie, digitale infrastructuur, ICT-beheerdiensten en de overheid (behalve waterschappen). De IGJ is toezichthouder voor de zorg, de ILT voor transport, drinkwater, afvalwater en de waterschappen, en DNB voor de financiële sector. Voor de overige sectoren zijn andere ministeries en toezichthouders aangewezen. Een volledig overzicht per sector staat in de doorverwijsboom van de NCTV.
Samenvatting
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking en voert de Europese NIS2-richtlijn uit in Nederland.
Organisaties krijgen een zorgplicht, meldplicht en bestuurlijke verantwoordelijkheid.
Leveranciersbeheer en risicobeheersing spelen een centrale rol.
Ook organisaties buiten de wettelijke reikwijdte krijgen indirect met de eisen te maken.
Aantoonbare informatiebeveiliging wordt steeds belangrijker voor klanten, leveranciers en aanbestedingen.
Goede informatiebeveiliging draait daarom niet alleen om voldoen aan wetgeving. Het gaat vooral om het creëren van vertrouwen, continuïteit en grip op risico's.
Bronnen (APA-stijl)
Europees Parlement & Raad van de Europese Unie. (2022). Richtlijn (EU) 2022/2555 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie (NIS2-richtlijn). https://eur-lex.europa.eu/
Nationaal Cyber Security Centrum. (2026, 7 juli). Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht. https://www.ncsc.nl/nieuws/cbw-en-wwke-vanaf-15-augustus-2026-van-kracht
Rijksoverheid. Cyberbeveiligingswet. https://www.rijksoverheid.nl/
ENISA. NIS2 Directive. https://www.enisa.europa.eu/